Sensitivity labels på websteder, teams og grupper

En sensitivity label kan sættes på en fil, men også på selve rummet, filen ligger i: et team, en Microsoft 365-gruppe eller et SharePoint-site. Labelen styrer så, hvem der kan være med, om sitet kan deles udadtil, og hvilke enheder der må åbne den. Funktionen blev annonceret i maj 2019, kom i public preview i november 2019 og blev generelt tilgængelig i juni 2020. Siden er der kommet flere indstillinger til.

Status 15. oktober 2026: Learn kalder rummene containere og nævner Teams-sites, Microsoft 365-grupper, SharePoint-sites, Viva Engage-fællesskaber og Loop-arbejdsområder. Indstillingerne på en label er privatliv (offentlig eller privat), adgang for eksterne brugere, ekstern deling fra SharePoint-sites, adgang fra ikke-administrerede enheder, authentication contexts, skjulning af private teams, kontrol med invitationer til delte kanaler, standardtypen for delingslink, delingsindstillinger for sitet og standardlabel til kanalmøder (Learn).

Labelen følger ikke med ned i filerne#

En label på en container sætter kun containerens indstillinger. Filerne i containeren arver den ikke, og der kommer hverken indholdsmarkering eller kryptering på dem. For at brugerne kan mærke deres egne dokumenter i SharePoint, skal sensitivity labels være slået til for Office-filer i SharePoint og OneDrive. Det er en separat indstilling (Learn).

Sætter nogen en fil med en label af højere prioritet ind i et site med en label af lavere prioritet, blokeres det ikke. Der oprettes en auditpost, Detected document sensitivity mismatch, og en mail til den, der uploadede, og til site-ejere og administratorer (højst 100). Linket i mailen sættes med Set-SPOTenant -LabelMismatchEmailHelpLink, og mailen slås fra med -BlockSendLabelMismatchEmail $True (Learn).

Opsætningen#

Funktionen bygger på Microsoft Entra ID og kræver mindst én aktiv Microsoft Entra ID P1-licens i organisationen (Learn). Det gøres én gang:

1. Indstillingen EnableMIPLabels sættes til True i tenantens gruppeindstillinger (med Microsoft Graph PowerShell).
2. Labels synkroniseres til Entra ID med Execute-AzureAdLabelSync i Security & Compliance PowerShell. Der kan gå op til 24 timer, før de er tilgængelige (Learn).
3. Labelens scope sættes til Groups & sites, og labelen udgives i en label policy.

(Learn)

En label med kun scope Groups & sites vises ikke i Office-apps og kan ikke sættes på filer og mails. Det kan gøre det lettere for brugerne, men gør labelopsætningen mere kompleks.

Når EnableMIPLabels er slået til, bruger containerne egenskaben Sensitivity i stedet for den gamle Classification. De gamle klassifikationer vises kun på eksisterende grupper og sites. Slås funktionen fra igen (EnableMIPLabels sat til False), håndhæves labelindstillingerne ikke længere, og containerne viser ikke labelen (Learn).

Sådan sættes en label på et site#

Ved oprettelse af et site vælges labelen under Advanced settings. Et team og en gruppe får labelen ved oprettelsen i Teams, Outlook på nettet eller Entra. Er et team mærket, får dets SharePoint-site den samme label. Delte kanaler arver automatisk labelen fra det team, de hører til, og labelen kan ikke fjernes eller udskiftes (Learn).

I SharePoint admin center vises labelen i kolonnen Sensitivity under Active sites, og den kan ændres under fanen Policies. Til mange sites kan en løkke bruges. Det kræver SharePoint Online Management Shell 16.0.19418.12000 eller nyere, og labelens GUID findes med Get-Label i Security & Compliance PowerShell:

1$Id = [GUID]("e48058ea-98e8-4940-8db0-ba1310fd955e")
2$sites = Get-SPOSite -IncludePersonalSite $true -Limit all -Filter "Url -like 'documents'"
3$sites | ForEach-Object { Set-SPOSite -Identity $_.Url -SensitivityLabel $Id }

Learns eksempel bruger Set-SPOTenant i løkken, men en adresse angives med Set-SPOSite -Identity <adresse> -SensitivityLabel "<GUID>", som Learn bruger til et enkelt site (Learn).

Efter en label er sat, kan den kun ændres af ejerne af den Microsoft 365-gruppe, sitet hører til, eller af site-administratoren, hvis sitet ikke er gruppeforbundet (Learn).

Før labels udgives#

• Site-ejere kan få mere magt. Når labelen indeholder indstillinger for ekstern deling eller authentication context, kan en site-ejer ændre dem ved at skifte label. Microsoft skriver, at disse indstillinger ikke bør tages med, hvis ejerne ikke skal kunne det (Learn).
• Ikke-administrerede enheder og authentication context kræver Conditional Access. Uden den tilhørende politik har valget ingen virkning, og en label, der er mindre streng end tenantens indstilling, har heller ingen virkning (Learn). Trin og begrænsninger for authentication context står i Betinget adgang til SharePoint-websteder.
• Ændringer slår langsomt igennem. En ny label skal vente mindst en time, før den kan bruges, og mindst 24 timer, hvis den har indstillinger for delte kanaler. Ændringer i en udgivet label skal vente mindst 24 timer. Microsoft anbefaler ikke at ændre indstillingerne, efter labelen er sat på containere.
• Ændring af ekstern adgang rammer ikke eksisterende gæster. Gæster, der allerede har adgang, beholder den, når indstillingen slås fra på labelen.
• Sletning af en label kan give fejl ved oprettelse af nye teams, grupper og sites, hvis labelen stadig står i en label policy. Den fjernes først fra alle policies, og efter mindst en time kan den slettes.
• Labelrækkefølgen bør planlægges, så labels til containere står før labels til filer, hvis de to adskilles.

Microsoft anbefaler at teste en ny label med få brugere: oprette et team, en gruppe eller et site med den, før den udgives til alle (Learn).

Tidslinjen#

1. 21. maj 2019 Meddelelse

   Labels på SharePoint-sites og beskyttede Office-filer varsles som private preview på SharePoint Conference, med tilmelding via formular (SharePoint-bloggen)

2. 4. november 2019 Meddelelse

   Labels for Teams, Office 365 Groups og SharePoint-sites annonceres i public preview fra 20. november (SharePoint-bloggen, Ignite · MC195905)

3. 4. maj 2020 Udrulning

   Labels med beskyttelse af Office-filer i SharePoint og OneDrive er generelt tilgængelige (SharePoint-bloggen)

4. Juni 2020 Udrulning

   Labels på Teams, Microsoft 365-grupper og SharePoint-sites flyttes fra public preview til generel tilgængelighed, udrulning fra slutningen af juni (MC216757)

5. December 2020 Udvidelse

   Ny labelindstilling til ekstern deling på gruppeforbundne team sites rulles ud ifølge Tony Redmond, som er en sekundær kilde (office365itpros.com). Microsofts egne kilder dateres til marts 2021

6. 2. marts 2021 Udvidelse

   Delingsregler knyttet til labels er generelt tilgængelige (MC244217), og authentication contexts på labels varsles (SharePoint-bloggen)

7. 2. november 2021 Udvidelse

   Authentication context på labels i public preview, og standardtypen for delingslink kan sættes pr. label (SharePoint-bloggen, Ignite 2021)

Learn har desuden en preview af labels på Entra-sikkerhedsgrupper i skyen, hvor labelen ikke kan ændres eller fjernes, når den er sat (Learn).

I månedsnoterne#

Annonceringen står i maj 2019, previewet i november 2019, og februar 2019 nævner kun, at labels på containere var et senere skridt (februar 2019). Fortsættelsen står i juni og december 2020, marts 2021 og november 2021.

Nabo-emner: Automatisk mærkning i Purview om labels på selve filerne, SharePoint Advanced Management og Records management i SharePoint med Microsoft Purview.